Modo FIPS

Descargar controlador JDBC

Microsoft JDBC Driver para SQL Server admite la ejecución en JVM configuradas para ser compatibles con FIPS 140.

Prerrequisitos

• JVM configurada por FIPS
• Certificado TLS/SSL adecuado
• Archivos de directivas adecuados
• Parámetros de configuración adecuados

JVM configurada por FIPS

En general, las aplicaciones pueden configurar el archivo java.security para usar proveedores criptográficos compatibles con FIPS. Consulte la documentación específica de su instancia de JVM para saber cómo configurar la compatibilidad con FIPS 140.

Para ver los módulos aprobados para la configuración de FIPS, consulte Validated Modules in the Cryptographic Module Validation Program (Módulos validados en el programa de validación del módulo criptográfico).

Los proveedores pueden contar con algunos pasos adicionales para configurar una instancia de JVM con FIPS.

Certificado TLS adecuado

Para conectarse a SQL Server en modo FIPS, es necesario un certificado TLS/SSL válido. Instálelo o impórtelo en el almacén de claves de Java de la máquina cliente (JVM) donde FIPS está habilitado.

Importación de un certificado TLS en Java keyStore

En el caso de FIPS, lo más probable es que tenga que importar el certificado (.cert) en PKCS o un formato específico del proveedor. Use el siguiente fragmento para importar el certificado TLS/SSL y almacenarlo en un directorio de trabajo con el formato KeyStore. TRUST_STORE_PASSWORD es su contraseña para el almacén de claves de Java.

public void saveGenericKeyStore(
        String provider,
        String trustStoreType,
        String certName,
        String certPath
        ) throws KeyStoreException, CertificateException,
            NoSuchAlgorithmException, NoSuchProviderException,
            IOException
{
    KeyStore ks = KeyStore.getInstance(trustStoreType, provider);
    FileOutputStream os = new FileOutputStream("./MyTrustStore_" + trustStoreType);
    ks.load(null, null);
    ks.setCertificateEntry(certName, getCertificate(certPath));
    ks.store(os, TRUST_STORE_PASSWORD.toCharArray());
    os.flush();
    os.close();
}

private Certificate getCertificate(String pathName)
        throws FileNotFoundException, CertificateException
{
    FileInputStream fis = new FileInputStream(pathName);
    CertificateFactory cf = CertificateFactory.getInstance("X.509");
    return cf.generateCertificate(fis);
}

En el ejemplo siguiente se importa un certificado TLS/SSL de Azure en formato PKCS12 con el proveedor BouncyCastle. El certificado se importa en el directorio de trabajo denominado MyTrustStore_PKCS12 mediante el siguiente fragmento de código:

saveGenericKeyStore(BCFIPS, PKCS12, "SQLAzure SSL Certificate Name", "SQLAzure.cer");

Archivos de directivas adecuados

En el caso de algunos proveedores de FIPS, son necesarios archivos JAR de directivas sin restricciones. En estos casos,para Sun/Oracle, descargue los archivos de Java Cryptography Extension (JCE) Unlimited Strength Jurisdiction Policy para JRE 8 o JRE 7.

Parámetros de configuración adecuados

Para ejecutar el controlador JDBC en modo compatible con FIPS, configure las propiedades de conexión como se muestra en la siguiente tabla.

Propiedades